AI 거버넌스를 파는 자의 AI 거버넌스 실패

감시자가 감시받지 않았다

AI 에이전트 시대의 탁월함을 정의하겠다던 보고서가, AI 할루시네이션의 교과서로 전락했다. TechCrunch 보도에 따르면 KPMG는 2025년 10월 발행한 Redefining Excellence in the Age of Agentic AI를 2026년 6월 전 세계 웹사이트에서 조용히 삭제했다. AI 탐지 그룹 GPTZero의 분석이 계기였다. 45개 인용 중 40개—87%—가 손상·오도·검증 불가 판정을 받았다.

숫자 자체가 이미 이 사건의 성격을 규정한다. 이건 오탈자가 아니다.

파열의 해부

The Register의 분석은 손상의 구체적 형태를 드러냈다. UBS·영국 NHS·스위스 연방철도·런던교통공사(TfL), 이 4개 기관 모두 보고서 내용이 '사실과 다르거나 거짓'이라고 공식 부인했다. 에미레이트항공 'Sara' 챗봇 사례는 실제와 정반대로 기술됐다. 거기에 보고서 내 수치가 KPMG 자체 CEO Outlook 리포트와 모순되는 자기충돌까지 확인됐다.

Finextra가 짚은 대목이 더 예리하다. UBS는 잘못 인용된 보고서의 잠재적 독자이자 동시에 피해자였다. 클라이언트가 자신들의 AI 활용 사례가 날조됐음을 언론 보도로 알게 된 상황—이 장면 하나가 사태의 심각성을 압축한다.

KPMG는 AI의 책임 있는 사용과 인간 검증을 요구하는 내부 가이드라인이 있었음을 인정했다. 가이드라인은 존재했지만 작동하지 않았다. 문서화된 절차와 실제 워크플로 사이의 간극이 바로 이 보고서다.

예외가 아닌 패턴: Big Four 전체로 번지다

KPMG만의 일탈이었다면 예외적 실수로 볼 수도 있었다. 그런데 Cybernews의 EY 분석에 따르면 EY 역시 GPTZero로부터 유사한 'AI 슬롭' 판정을 받았다. GetAIGovernance 보고서는 EY 캐나다 사이버보안 보고서에서도 가짜 인용과 거버넌스 실패를 확인했다. 딜로이트에서도 유사 패턴이 보고된다.

반복되는 패턴은 개인의 실수가 아니라 업계의 시스템 설계 실패다. AI로 초안을 생성하고 컨설턴트가 검토하는 워크플로가, 실제로는 검토 단계가 형식에 불과하거나 아예 생략된 채 발행되고 있다는 의혹을 지우기 어렵다. 고부가가치 보고서의 단가와 검증에 투입되는 실질 시간 사이의 괴리가 여기서 비롯된다.

신뢰 산업의 치명적 아이러니

컨설팅의 본질은 정보 비대칭이다. 클라이언트가 모르는 것을 알기 때문에 프리미엄을 받는다. KPMG는 AI 거버넌스 구축을 클라이언트에게 판매하면서 자체 AI 거버넌스에 실패했다. TechRadar의 표현처럼, 이 보고서는 에이전틱 AI를 옹호하는 자료가 아니라 인간 감시 없는 에이전틱 AI의 위험을 보여주는 데모가 됐다.

더 무거운 질문은 클라이언트 쪽에 있다. B2B 보고서가 AI 슬롭으로 채워진다면, 그 보고서를 근거로 이사회에 올라간 의사결정의 책임은 어디에 귀속되는가. 퍼블릭 보고서보다 기밀 클라이언트 딜리버러블에서 같은 일이 벌어졌다면, 법적 선례가 없는 영역이 된다.

다음 수순

EU AI Act의 고위험 AI 감사 책임 조항은 이 사건을 레퍼런스로 삼기에 충분하다. 실질적 변화는 두 방향에서 빠르게 온다. 첫째, 컨설팅 보고서 내 AI 생성 콘텐츠의 공시 의무 요구가 강화된다. 둘째, 할루시네이션으로 인한 손해의 계약상 책임 조항이 업계 표준 계약서에 편입되기 시작한다.

KPMG는 실수로 한 가지를 증명했다. 인간 감시 없는 AI 출력은—그것이 AI를 칭송하는 보고서라도—신뢰 산업에서 리스크 그 자체다.